【令和3年秋期 午後Ⅰ】情報処理安全確保支援士 問題別・学ぶべき知識（リモート保守・IRM・マルウェア初動）

令和3年秋期 午後Ⅰで問われたリモート保守・IRM・マルウェア初動の知識を、攻撃・影響・対策の流れと、全設問で必要になる補足知識に分けて整理します。

午後Ⅰ 問１　リモート保守のセキュリティインシデント対応

• 攻撃・原因 → 影響（成立の流れ）

  起点：FWの一時許可中に第三者が保守用SSHへ接続

  攻撃の進行：中継サーバから内部機器を操作しログを消去

  結果・補足：許可申請の開始・終了時刻まで遡り、ホスト鍵フィンガープリントとFW・操作ログを突合する

• 対策・確認

  秘密鍵は保守PCだけに置きパスフレーズで暗号化し、SSH Agent Forwardingで中継先へ鍵を残さない。

  固定した接続元グローバルIPだけをFWで許可し、保守員にはログを改ざんできない一般権限を付与する

  設問別の補足知識（全3設問）

  設問1：

  (1) 初回接続時のフィンガプリント不一致は，接続先が正規の保守用中継サーバではない可能性を示す。

  (2) 保守員には一般利用者権限だけを与えることで，特権が必要な操作ログの改ざん・削除を防ぐ。

  (3) 図1と接続経路から，固定接続元は保守PC-A，その他の接続元側はインターネットとなる。

  設問2：

  (1) プログラムHの外向き通信は，DMZからインターネットへの通信を拒否してログを記録する項番6に該当する。

  (2) 項番4を一時的に許可した申請時間帯が，第三者によるSSH接続が可能だった期間である。

  設問3：

  (1) パスフレーズは，秘密鍵を取得した第三者や保守員以外による不正利用を防ぐ。

  (2) 公開鍵認証への変更前に用いていた方式はパスワード認証である。

  (3) SSH Agent Forwardingでは接続に必要な秘密鍵を保守PCだけに保持する。

  (4) 接続元のグローバルIPアドレスを固定すれば，FWで送信元を限定できる。

午後Ⅰ 問２　設計文書の管理における情報漏えい対策

• 攻撃・原因 → 影響（成立の流れ）

  起点：設計文書をPCへ複製した利用者がプロジェクト離任後も保持

  攻撃の進行：従来の共通パスワードでは閲覧を止められず情報が残る

  結果・補足：IRMのグループから離任者を削除し、配布済みファイルの閲覧権限も失効させる

• 対策・確認

  保存期間に見合う鍵長、辞書攻撃に耐えるパスワード、多要素認証でIRMアカウントを保護する。

  ただし正規利用者が開いた画面のキャプチャと外部送信は防げないため、端末のマルウェア対策と送信監視も必要になる

  設問別の補足知識（全3設問）

  設問1：

  離任者が出るたびにPパスワードを変更する必要があり，PCにコピーされたファイルは従来の仕組みでは制御できない。

  表1の問題3は離任時に全ファイルのPパスワードを扱う負荷，問題4は規則に反してPCへ複製した設計秘密を離任後も参照できる点を述べています。したがって，空欄aはPパスワードの変更，空欄bはPCへのコピーに対応します。

  設問2：

  (1) IRM管理者又はグループ管理者が，離任者の利用者アカウントをグループから削除すると，配布済みファイルにも権限変更を反映できる。

  (2) 権限確認を行う処理(ii)でエラーとなり，参照できなくなる。

  (3) 保存期間と鍵長に関する図2の条件から，cは60，dは196となる。

  (4) 推測されやすい候補を試す攻撃は辞書攻撃である。

  (5) パスワード以外の要素も要求する多要素認証で，認証情報漏えい時のリスクを下げる。

  設問3：

  IRMのアクセス制御だけでは，正規利用者が表示した画面をマルウェアがキャプチャして外部送信する動作までは防げない。

  IRM-Lは保存時の暗号化と利用権限を管理しますが，権限をもつ利用者が開いた後の画面表示までは暗号化で守れません。そこで，感染PC上で画面をキャプチャして外部送信する動作が，本文の残存リスクになります。

午後Ⅰ 問３　組織内PCのマルウェア感染への対処

• 攻撃・原因 → 影響（成立の流れ）

  起点：PCのマルウェア感染を検知

  攻撃の進行：LANから切り離して外部通信と横展開を停止

  攻撃の進行：ディスクイメージを取得

  結果・補足：DVD-Rで最新定義を持ち込み、証拠を変えないオフライン環境で検査する

• 対策・確認

  端末の直接通信はベンダー配布サイトだけを許可し、それ以外はプロキシ経由又は拒否する。

  実行許可リストはハッシュ変更を伴う更新運用と、許可済みOfficeマクロから起動するコードへの別制御まで設計する

  設問別の補足知識（全3設問）

  設問1：

  (1) 感染拡大と外部通信を止めるため，対象PCをLANから切り離す。

  (2) 後の調査で元の状態を再現できるよう，ストレージ全体をディスクイメージとして保全する。

  (3) オフライン媒体で最新定義を持ち込み，定義ファイルを更新して，対策ソフトの画面から検査を実行する。

  (4) 同じ認証情報の悪用範囲を確認するため，Q社内の全PC及びサーバからのアクセスを調査する。

  設問2：

  (1) 各部LANはプロキシ経由に統一するため，項番3の送信元を総務部LAN・営業部LANにし，項番4の送信元を技術部LANにする。

  (2) V社配布サイトだけを許可し，それ以外を全て拒否することで直接通信を限定する。

  設問3：

  (1) バージョンアップで実行ファイルのハッシュ値が変わるため，登録変更が必要になる。

  (2) 許可済み実行ファイルのマクロとして動くマルウェアは，実行ファイルのハッシュ値だけでは禁止できない。